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Geschtitzte kryptographische Berechnting 

Die Brfindung betrifft allgemein das technische Gebiet der Kryptographie 
txnd spezieller eine Vorgehensweise zum verbesserten Schutz einer krypto- 
graphischen Berechnting gegeh Angriff e. Insbesondere ist die Brfindung 
zum Einsatz in tragbaren DatentrSgem vorgesehen, die z.B. als Chipkarten 
(smart cards) in imterschiedlichen Bauformen oder als Chipmodule ausge- 
staltet sein konnen. 

Fur den Austausch von verschlusselten und/oder signierten Daten ist das 
Z.B. im US-Patent 4,405,829 beschriebene RSA-Verfahren gut bekannt. Ge- 
mafi dem RSA-Verf ahren wird ein offentiicher Schliissel zur Verschliisselung 
Oder Signaturverifikation und ein geheimer privater Schliissel zur Entschlus- 
selimg Oder Signaturerzeugung eingesetzt Die Sicherheit des RSA-Verf ah- 
rens beruht auf der Tatsache, dafi gegenwartig kein effizienter Weg bekannt 
ist, um die Primfaktoren p und q einer grolSen Zahl n mit n = p-q zu bestim- 
men. Wahrend der sogenannte Modulus n als Teil des off entlichen Schliissels 
verOffentlicht wird, miissen die Werte p und q geheim gehalten werden. 

Die zur Ausfiihrufig des RSA-Verfahrens erforderUchen Berechnungsvor- 
gange sind relativ aufwendig. So miissen z.B. bei der Entschliisselung oder 
Signaturerzeugung die zu verarbeitenden Daten mit Parametem des priva- 
ten Schliissels potenziert werden. Insbesondere fur tragbare Datentrager mit 
ihrer beschrankten Rechenleistung wird daher haufig eine Implementiertmg 
des RSA-Verfahrens zur Entschliisselting oder Signattirerzeugung einge- 
setzt, die den Chinesischen Restklassensatz (CRT = Chinese remainder 
theorem) verwendet und daher auch als RSA-CRT-Verf ahren bezeichnet 
wird. Durch Verwendttng des RSA-CRT-Verf ahrens wird der erf orderliche 
Rechenaufwand ungef Shr um den Faktor 4 reduziert. 
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Das RS A-CRT-Verf ahren sieht vor, statt einer aufwendigen Potenzberech- 
nung zwei erheblich einf achere Potenzierungen durchzxifuhren, deren Br- 
gebnisse daim zu den entschltisselten Daten oder der erzeugten Signatur 
kombiniert werden. In die erste dieser Berechnungen geht ntir der geheime 
5 Primf aktor p ein, und in die zweite Berechnung geht nur der geheime Prim- 
f aktor q ein. 

Es sind Angiff sszenarien vorgeschlagen worden, bei denen genau ^iner der 
beiden genannten RSA-CRT-Berechnungszweige gestort wird, z.B. dtrrch 

10 gezielte Einwirkiing von Warme oder Strahlung oder durch elektrische 

Impulse. Weim dies gelingt, lafit sich aiis dem Ergebnis der Gesamtberech- 
nung ein Vielf aches desjenigen Primfaktors p, q ableiten, dessen Berech- 
nungszweig nicht gestort wurde. Mit anderen Worten lassen sich dtirch den 
beschriebenen Angriff Rtickschllisse auf den privaten Schliissel Ziehen. Dies 

15 hat potentiell katastrophale Konsequenzen, weil nicht nur die gerade durch- 
gefuhrte Entschliisselung oder Signaturerzeugung, sondern alle unter Ver- 
wendimg des privaten Schliissels ausgefuhrten kryptographischen Opera- 
tionen kompromittiert werden. 

20 Der gerade erwShnte Angriff ist tinter den Namen "fault attack" oder 

"Bellcore attack" bekannt und z.B. in Spalte 4 des US-Patents 5,991,415 be- 
schrieben. Ebenf alls im US-Patent 5,991,415 wird ein Verf ahren off enbart, bei 
dem zum Schutz gegen diesen wahrend der kryptographischen Berechnung 
erf olgenden Angriff ein zusatzlicher Faktor j in die Berechnung eingeht. Es 

25 bestehen jedoch, wie im f olgenden gezeigt werden wird, weiterhin Angriffs- 
moglichkeiten, denen mit dem aus dem US-Patent 5,991,415 bekannten Ver- 
fahren nicht entgegengetreten werden kann. . 
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Besonders kritisch ist die genannte Angriffsmoglichkeit dann, wenn die 
kryptographische Berechnung von einem Prozessor eines tragbaren Daten- 
trSgers, beispielsweise einer Chipkarte (smart card) oder eines Chipmoduls, 
ausgefuhrt wird. Ein erster Grund dafOr ist, dalS solche tragbaren Daten- 
5 trSger oft fur sicherheitskritische Anwendimgen verwendet werden, z.B. im 
Zxisammenhang mit Finanztransaktionen, der Zugangskontrolle oder der 
Signatur von rechtlich bindenden Dokumenten. Zweitens bef inden sich 
tragbare Datentrager, v^ahrend die kryptographische Berechnung ausgefuhrt 
wird, typischerweise im Besitz des Angreifers, so dafi dieser alle Moglichkei- 
10 ten zum Beeinflussen der Berechnung und zum Ausspahen der Berech- 
ntmgsergebnisse hat. 

Die Erfindung hat die Auf gabe, eine Technik zum besonders guten Schutz 
kryptographischer Berechnimgen gegen Angriffe bereitzustellen. Insbeson- 
15 dere sollen solche Angriffe verhindert wrerden, die auf ahnlichen Prinzipien 
v^e der oben beschriebene "Bellcore attack" beruhen. In bevorzugten Ausge- 
staltimgen soil der erf indungsgemafie Schutz vorteilhaft mit anderen Schutz- 
verf ahren zusammenwirken. 

20 Erfindungsgemafi wird diese Auf gabe ganz oder zum Teil gelSst durch ein 
Verfahren zum geschiitzten Ausfiihren einer kryptographischen Berechnxmg 
mit den Merkmalen des Anspruchs 1, ein Verfahren zum Bestimmen eines 
Schlussels fur eine kryptographische Berechnung mit den Merkmalen des 
Anspruchs 12, ein Computerprogrammprodukt gemafi Anspruch 14 und ei- 

25 nen tragbaren Datentrager gemafi Anspruch 15. Die abhangigen Anspriiche 
definieren bevorzugte Ausgestaltungen der Erfindxmg. Die Auf zahlungsrei- 
henf olge der Verf ahrensschritte in den Anspriichen soli nicht als Einschran- 
kimg des Schutzbereichs auf gef afit werden; es sind vielmehr Ausgestaltun- 
gen der Erfindimg vorgesehen, bei denen diese Verf ahrensschritte ganz oder 
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teilweise in anderer Reihenf olge oder ganz oder teilweise parallel oder ganz 
Oder teilweise ineinander verzahnt (interleaved) ausgefuhrt werden. 

Die Erfindung geht von der gnindlegenden Erkenntnis aus, dafi ein Angriff 
5 ahnlich dem oben beschriebenen "Bellcore attack" nicht nur durch St5rung 
der Berechnxingsvorgaiige wahrend der kiyptographischen Berechnimg 
moglich ist, sondem auch dadurch, dafi die kryptographische Berechnixng 
xnit fehlerhaften Parametern versorgt wird. Dies kann beispielsweise durch 
die Ubergabe einer f alschen Zeigeradresse an die Berechnungsroutine 

10 erf olgen, oder dadurch, dafi der Inhalt von Speicherf eldem, in denen 

Schlusselparameter enthalten sind, von aufien geSndert wird. Die Erf inder 
haben erkannt, dafi aus dem Ergebnis einer kryptographischen Berechnung, 
die mit derartig verf Slschten Parametern versorgt wird, mogUcherweise 
Riickschliisse auf geheimzuhaltende Schliisselparameter gezogen werden 

15 konnen. 

Erf indungsgemafi ist vorgesehen, zum Schutz gegen einen solchen Angriff 
eine Integiitatsiiberprufung des ftir die kryptographische Berechnung heran- 
gezogenen Schltissels ausziif tihren, Durch diese Mafinahme kaim der An- 

20 griff erkannt xmd abgewehrt werden, indem z.B. die kryptographische Be- 
rechnung ohne Ausgabe eines Ergebnisses abgebrochen wird. Die Integri- 
tatsiiberpriifung kann eine Manipulation der Schlusselparameter in der 
Kegel nicht mit absoluter Sicherheit ausschliefien; sie soli jedoch einen f iir 
praktische Zwecke ausreichenden Schutz gegen den genannten Angriff 

25 bieten. Dies impliziert, dafi eine einfache Wertebereichstiberwachimg (range 
check) mit einer f esten unteren Grenze und einer f esten oberen Grenze nicht 
als Integritatspriifung im Siime der vorliegenden Erfindung anzusehen wSre. 




-5- 



Vorzugsweise ist die Integritatspruf ung so gestaltet, dafi eine Manipulation, 
bei der ein uberwachter Schliisselparameter in zuf alliger Weise verf alscht 
wird, mit an Sicherheit grenzender Wahrscheinlichkeit, z.B. mit einer 
Wahrscheinlichkeit grofier als 1 - 10-^ oder grftfier als 1 - lO-^ oder grofier als 
5 1 - 10;^, erkannt wird. WShrend die IntegritStstiberprufung in manchen Aus- 
gestaltungen nur einzelne, besonders kritische Schliisselparameter umfaiSt, 
ist vorzugsweise vorgesehen, sSmtliche Parameter eines geheimzxihaltenden 
Schliissels zu uberwachen. Fixr einzelne Parameter oder Parametergruppen 
konnen hierbei im Zuge der Integritatsiiberpriifung unterschiedliche Prti- 
10 fungsverfahren atisgefiihrt werden. 

Die zur Integritatsxiberpriifung eingesetzten Verf ahren haben jeweils das 
Ziel, eine Verf alschung des liberwachten Schliisselparameters oder der iiber- 
wachten Schliisselparameter zu erkennen. In einer bevorzugten Ausgestal- 

15 tung wird bei der Integritatsiiberpriifung im Ergebnis ermittelt, ob sich ein 
Schliisselparameter innerhalb eines zulassigen, mehrfach unterbrochenen 
Wertebereichs bef indet. Diese Priifungsart liegt in der Kegel dann vor, wenn 
der Schliisselparameter bei der Schliisselerzeugimg aus dem eigentlich fiir 
die kryptographische Berechnung ben5tigten Wert und einem zusatzlichen, 

20 an sich redtmdanten Sicherungswert berechnet wurde, wie dies z.B. bei Priif- 
summenberechnungen der Fall ist 

Wahrend es vorgesehen sein kann, manche oder alle Schliisselparameter 
jeweils einzeln zu iiberpriifen, wird vorzugsweise bei der Integritatsxiberprii- 
25 fung ermittelt, ob mindestens zwei Schliisselparameter in einer vorbestimm- 
ten iBeziehung zueinander stehen. Die Integritatsiiberpriifimg kann eine 
multiplikative Operation beinhalten, worunter in der Wortwahl des vorlie- 
genden Dokuments eine Multiplikation, eine Division, eine Potenzienmg, 
eine Modulo-Berechnting und eine Teilbarkeitspriifung zu verstehen sind. 
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Vorzugsweise wird uberpriift, ob ein Schliisselparameter oder ein davon 
abgeleiteter Wert glatt dxirch einen Sichenmgswert teilbar ist. In diesem Fall 
wird der Schltisselparameter bei der Schlusselgenerierung vorzugsweise 
durch eine Multiplikation des eigentlich fiir die kryptographische Berech- 
5 nung bendtigten Wertes mit dem Sichenmgswert gewoxinen. Der Siche- 
rungswert kann Bestandteil des Schliissels oder fest vorgegeben sein. 

Das erfindtuigsgemafie Verfahren ist fiir alle kryptographischen Beirechnun- 
gen geeignet, bei denen ein kryptographischer Angriff durch Verf alschiing 

10 mindestens eines ersten Schliisselparameters Rtickschlusse auf mindestens 
• einen zweiten Schliisselparameter ermOglicht. Insbesondere ist die Erfin- 
dung fur die Sicherung der Entschliisselimg oder Signaturerzeugung bei 
einem RSA-Verf ahren, vorzugsweise bei einem RSA-CRT-Verf ahren, vor- 
gesehen. In diesen Fallen betrif ft die Integritatsuberpriifung den privaten 

15 RSA-Schltissel. Es ist zu erwarten, dafi entsprechende Angriffsmoglichkeiten 
fiir weitere kryptographische Berechnungen gefunden werden, die dann 
ebenf alls auf die erf indxmgsgemajSe Weise gesichert werden konnen. 

In bevorzugten Ausgestaltungen wird bei der Integritatspriifung ermittelt, 
20 ob ein bei einer Potenzierungsoperation verwendeter Exponent glatt durch 
einen Sicherungswert teilbar ist. Diese Ausfuhnmgsf ormen der Erf indxmg 
lassen sich besonders vorteilhaft mit einem Exponenten-Verschleierungs- 
verf ahren kombinieren, wie es aus der internationalen Offenlegimgsschrift 
WO 01/48974 Al bekannt ist. In weiteren vorteilhaften Ausgestaltungen 
25 werden - altemativ oder zusStzlich zu der gerade genannten Exponenten- 
verschleienmg - die Primf aktoren des RS A-Verf ahrens mit einem Ver- 
schleienmgsparameter multipliziert, so daJB das Berechnimgsergebnis mittels 
einer Gleichheitsiiberpriifung modulo des Verschleierxmgsparameters aiaf 
seine Korrektheit uberpriift werden kann. 
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Das erfindtmgsgemaCe Computerprograirunprodukt weist Prograinm- 
befehle auf, um das erfindungsgemalSe Verf ahren zu implementieren. Ein 
derartiges Computerprogrammprodtikt kann ein korperliches Mediirai sein, 
5 beispielsweise ein Halbleiterspeicher oder eine Diskette oder eine CD-ROM, 
auf dem ein Programm zur Ausfiihrung eines erfindtingsgemSlSen Verf ah- 
rens gespeichert ist. Das Computerprogrammprodukt kann jedoch auch ein 
nicht-korperliches Medium sein, beispielsweise ein liber ein Compatemetz- 
werk iibermitteltes Signal. Das Computerprogrammprodukt kann insbeson- 
10 dere zur Verwendung im Zusammenhang mit der Herstellung tmd/ oder 
Initialisierung und/oder Personalisienmg von Chipkarten oder sonstigen 
Datentragern vorgesehen sein. 

In bevorzugten Ausgestaltxmgen sind das Computerprogrammprodukt 
15 und/ oder der tragbare Datentrager mit Merkmalen weitergebildet, die den 
oben beschriebenen imd/oder den in den abhangigen Verfahrensansprtichen 
genannten Merkmalen entsprechen. 

Weitere Merkmale, Vorteile und Auf gaben der Erfindtmg gehen aus der f ol- 
20 genden genauen Beschreibtmg mehrerer Ausftihnmgsbeispiele und Ausfiih- 
rungsaltemativen hervor. Es wird auf die schematischen Zeichnungen ver- 
wiesen, in denen zeigen: 

Fig. 1 ein beispielhaftes Flufidiagramm eines Verf ahrens zur Schliisselberech- 
25 nung mit Darstellung eines SfiEentlichen und ein^s privaten Schliissels, 

Fig. 2 ein beispielhaftes FlulSdiagramm eines kryptographischen Berech- 
nungsverf ahrens. 
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Fig. 3 ein beispielhaftes Fliafidiagramm eines Ausschnitts des Verfahrens von 
Fig. 2 in einer abgewandelten Ausgestaltung, und 

Fig. 4 ein beispielhaftes Flufidiagramm eines weiteren Ausf tihrungsbeispiels 
5 des kryptographischen Berechnungsverfahrens. 

Das in Fig. 1 dargestellte Verf ahren dient zur Berechnting eines 5ffentlichen 
Schliissels 10 und eines privaten Schliissels 12, die zur Verwendung in einem 
RSA- Verf ahren ausgestaltet sind. Die gestrichelten Pfeile geben jeweils an, 

10 welcher Schliisselparameter durch welchen Verfahrensschritt erzeugt wird. 
hn Zusammenhang mit einer Verwendung des Schliisselpaares 10, 12 durch 
tragbare DatentrSger (z.B. Chipkarten) kann das Verfahren z.B. im Zuge der 
Initialisierung oder Personalisierung des Datentragers in einer gesicherten 
Umgebung ausgefiihrt werden. Das extern berechnete Schltisselpaar wird 

15 dann als Teil der Initialisierungs- oder Personalisierungsdaten in den Daten- 
trager ubertragen. Alternativ ist es auch moglich, daC das Verfahren von 
Fig. 1 durch den Datentrager selbst ausgefiihrt wird, um das Schltisselpaar 
zu bestiminen. 

20 Der offeniiiche Schlussel 10 weist als Schliisselparameter einen Modulus n 
und einen 5ff entiichen Exponenten e auf . Der private Schliissel 12 ist fiir 
RSA-Berechnungen unter Verwendung des Chinesischen Restklassensatzes 
vorgesehen, die hier auch als RSA-CRT-Berechnungen (CRT = Chinese 
remainder theorem) bezeichnet werden. Als Schliisselparameter weist der 

25 private Schliissel 12 einen ersten und einen zweiten Primfaktor p, q, einen 
CRT-Koeffizienten pinv, einen ersten und einen zweiten Sichenmgswert sp, 
sq sowie einen gesicherten ersten und einen gesicherten zweiten CRT-Expo- 
nenten dp, dq auf. 
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Das in Fig. 1 dargestellte Verf ahren begiimt in an sich bekannter Weise in 
Schritt 14 mit der zuf alligen Auswahl zweier Primzahlen mit einer Lange 
von z3. je 1024 oder 2048 Bit, die als erster tind zweiter Primfaktor p, q im 
privaten Schltissel 12 gespeichert werden. Im darauff olgenden Schritt 16 
5 wird der Modulus n des offeniiichen Schliissels 10 als Produkt der beiden 
Primf aktoren p, q berechnet. Der Offentliche Exponent e wird in Schritt 18 als 
Zuf allszahl bestimmt, die teilerfremd zum Wert (p-l)-(q-l) ist. Da im vorlie- 
genden Ausfuhrungsbeispiel der private Schltissel 12 auf RSA-CRT-Berech- 
nungen zugeschnitten ist, wird in Schritt 20 das modulare Inverse von p 
10 modulo q berechnet und als CRT-Koefizient pinv in den privaten Schltissel 
12 aufgenommen. 

In Schritt 22 wird der Wert d als modulares Inverses des Sffeniiichen Expo- 
nenten e modulo (p-l)-(q-l) berechnet. In RSA-Verfahren, die den Chinesi- 

15 schen Restklassensatz nicht einsetzen, ware d als privater Exponent der 

Hauptbestandteil des privaten Schliissels. In bekannten RSA-CRT-Verfahren 
wttrden statt d die beiden CRT-Exponenten d mod (p-1) und d mod (q-1) 
verwendet werden. Im vorliegenden Ausftihrungsbeispiel enthalt der 
private Schltissel 12 dagegen Werte, die aus den genannten CRT-Exponenten 

20 d mod (p-1) und d mod (q-1) durch eine zusatzUche SicherungsmaiSnahme 
abgeleitet sind. Diese SicherungsmaCnahme ist hier beispielhaft die Multi- 
plikation mit je einem Sicherungswert, Eine Manipulation der gesicherten 
Werte kann dann durch eine Teilbarkeitstiberpriifung f estgestellt werden. In 
AxisfUhnmgsalternativen sind eindere Sichenmgsmafinahmen vorgesehen, 

25 z.B. eine Priifsummenbildung oder die mehrfache "Obergabe von zumindest 
den wichtigen tJbergabeparametem, 

Als Sicherimgswerte sp, sq werden in Schritt 24 zwei Zuf allszahlen mit einer 
Lange von beispielsweise je 64 Bit (8 Byte) erzeugt. Der gesicherte erste 




-10- 



CRT-Exponent dp wird in Schritt 26 gemafi dp := (d mod (p-1)) • sp 
berechnet. Entsprechend wird der gesicherte zweite CRT-Exponent dq in 
Schritt 28 dur.ch die Berechnung dq := (d mod (q-1)) • sq bestimmt. Die 
genannten Werte werden samtlich als Parameter des privaten Schlussels 12 
5 abgespeichert Damit ist die Bestimmimg eines gegen Manipulationen 
geschtitzten privaten ScMiissels 12 beendet. 

Im vorliegenden Ausfiihrxmgsbeispiel liegt der private Schltissel 12' im 
wesentlichen in Form einer Datenstruktur RSAPrivateCRTKey gemafi den 

10 Konventionen der Java-Card- Anwendungsprograinmienmgsschnittstelle 
vor. Diese Konventionen sind im Dokument "Java Card™ 2,1.1 Application 
Programming Interface", Revision 1.0, 18. Mai 2000, herausgegeben von Sim 
Microsystems, Inc., USA, gegenwartig verfiigbar unter http://java.stm.com/ 
products/javacard/ javacard21.html, beschrieben. Die dort vorgesehene Da- 

15 tenstruktiir weist Felder DPI und DQl fiir die ungesicherten CRT-Exponen- 
ten d mod (p-1) und d mod (q-1) auf . Um den privaten Schlussel 12 gemafi 
dem vorliegenden Atisfuhningsbeispiel in einer derartigen Datenstrtikttir 
unterzubringen, ist im vorliegenden Ausfilhrungsbeispiel vorgesehen, dafi 
die Werte sp und dp zusammen in dem Feld DPI des RSAPrivateCRTKey 

20 gespeichert werden, imd dafi entsprechend die Werte sq und dq zusammen 
in dem Feld DQl gespeichert werden. In Fig. 1 ist dies durch gepunktete 
Linien angedeutet. In Ausfiihrungsvarianten konnen die Werte sq und dq 
auch in anderen Feldern des RSAPrivateCRTKey oder atifierhalb dieser Da- 
tenstruktur abgelegt werden. 

25 

Die hier beschriebenen Ausfuhrungsbeispiele weichen insof ern geringfiigig 
von der oben genannten Java-Card-Spezifikation ab, als vorliegend das 
modulare Inverse von p modulo q als CRT-Koef izient pinv im privaten 
Schlussel 12 enthalten ist. Gemafi der Java-Card-Spezif ikation wird dagegen 



• 
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ein CRT-KoeffiLzient PQ verwendet, der das modulare Inverse von q modulo 
p ist. Es sind Abwandlungen der hier beschriebenen Verf ahren vorgesehen, 
bei denen der CRT-Koeffizient PQ entsprechend der Java-Card-Spezifikation 
Bestandteil des privaten Schliissels 12 ist Die erfindungsgemafien Ideen sind 
5 auch ftir derartige Ausgestaltungen ohne wesentliche Veranderung einsetz- 
bar. . 

Fig. 2 zeigt eine erste Ausgestaltung eines gesicherten RS A-CRT-Verf ahrens, 
das zur Entschliisselting oder Signaturerzeugung dient. Das Verfahren ist 

10 dazu vorgesehen, von einem Prozessor eines tragbaren Datentragers, insbe- 
sondere einer Chipkarte (smart card) oder eines Chipmoduls, ausgefUhrt zu 
werden. Das Verfahren ist dazu in Form von Programmbef ehlen ftir diesen 
Prozessor implementiert, die in einem ROM oder EEPROM des Datentragers 
gespeichert sind. Der zur Entschlusselung oder Signaturerzeugung benotigte 

15 private Schltissel 12 ist ebenfalls im EEPROM des Datentragers gespeichert. 

Beim Verfahrensaufruf wird ein Zeiger auf den privaten Schltissel 12 an die 
auf geruf ene Entschltisselungs^ oder Signaturerzeugungsroutine tibergeben. 
Die Erfinder haben erkannt, dafi ein kryptographischer Angriff dadurch aus- 

20 gefiihrt werden kann, dafi einzelne Parameter des privaten Schliissels 12 vor 
Beginn der Entschlilsseltmg oder Signaturerzeugimg maiupuliert werden. 
Dies kann z.B. durch gezielte Einwirkung auf das den privaten Schlussel 12 
enthaltende EEPROM oder durch Ubergabe einer fehlerhaften Adresse an 
die RSA-CRT-Routine geschehen. Ein derartiger Angriff hatte die aufierst 

25 hachteilige Konsequenz, dafi sich aus dem Berechnungsergebnis - z. B. den 
entschltisselten Daten oder der erzeugten Signatur - Riickschltisse auf die 
Werte der geheimen Schltisselparameter Ziehen liefien. Dadurch wMre das 
Schliisselpaar 10, 12 fiir alle bisherigen und zukiinftigen Berechnungen kom- 
promittiert. 



• 
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Um einen derartigen kryptographischen Angriff zu verhindern, ist bei dem 
Verfahren von ipig. 2 eine Integritatsuberpriifung des privaten Schltissels 12 
vorgesehen, die eine Folge von mehreren TeHprufungen beinhaltet. In Fig. 2 
5 ist durch die gestrichelten Pf eile angedeutet, welche Schltisselparameter in 
die jeweiligen Teilpriifungen eingehen. 

Das Verfahren beginnt in Schritt 30 mit der Teilpriifung, ob der itn privaten 
Schlussel 12 enthaltene CRT-Koe£fizient pinv tatsachlich das modulare 

10 Inverse zum ersten Primf aktor p modtilo des zweiten Primfaktors q dar- 
stellt. Mit anderen Worten wird tiberprtif t, ob die vorgegebene Beziehung 
p pinv = 1 mod q erjfiillt ist. Ist dies nicht der Fall, so erfolgt ein Fehleraus- 
sprung, und das Verfahren wird abgebrochen. Ist die Uberpnifung erfolg- 
reich, so kann davon ausgegangen werden, dafi die Schltisselparameter p, q 

15 und pinv nicht manipxiliert v^orden sind, und das Verfahren wird 
fortgesetzt. 

Im nun folgenden Berechnungsmodul 32 wird als Ergebnis des ersten der 
beiden CRT-Berechnxmgszweige ein erster Hilfswert yl bestimmt. In diese 
20 Berechnung gehen die zu entschliisselnden oder zu signierenden Daten x, 

der erste Primfaktor p und der erste CRT-Exponent d mod p-1 ein, wobei der 
letztgenannte Wert nicht unmittelbar zur Verfiigung steht, sondem aus dem 
gesicherten ersten CRT-Exponenten dp imd dem ersten Sicherungswert sp 
abgeleitet werden mufi. 

25 

Zur Oberpriifung, ob einer der beiden Werte sp, dp manipuliert worden ist, 
wird zunachst in Schritt 34 eine Teilbarkeitspriifung vorgenommen. Falls der 
gesicherte erste CRT-Exponent dp nicht glatt diirch den ersten Sichejfungs- 
wert sp teilbar ist, erfolgt wiederum ein Fehleraussprung und Verf ahrens- 
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abbruch. Wenn dagegen die Division ohne Rest aiif geht, kaim mit an Sicher- 
heit grenzender Wahxscheinlichkeit angenommen werden, dafi zumindest 
keine zufallige Verf alschung eines der beiden Schliisselparameter sp und dp 
stattgefunden hat. Diese Teilbarkeitspriifung stellt nur einen geringen zu- 
5 satzlich^ Rechenaiifwand dar, da der Sicherungswert sp nur eine relativ 
geringe Bitlange aufweist. Eine gezielte Manipulation der beiden Parameter 
sp tind dp unter Kenntnis des vorgesehenen Sicherungsmechanismus konnte 
durch das hier beschriebene Verf akren naturlich nicht entdeckt wef den; es 
ist aber gegenwartig nicht vorstellbar, wie ein AngreiEer ein derartiges ge- 
10 zieltes Einschreiben neuer Werte in einzelne EEPROM-Zellen des Daten- 
trSgers bewerkstelligen kOnnte. 

Wenn die Integritatsuberpriifung hinsichtiich der Parameter sp und dp in 
Schritt 34 erf olgreich war, wird in Schritt 36 die eigentliche Berechnxmg des 

15 ersten Hilfswerts yl gemafi yl := (x mod p)^(dp/ sp) ausgefiihrt, Hierbei 
kann hinsichtlich des Exponenten dp/ sp naturlich in der Regel auf das 
bereits in Schritt 34 berechnete Divisionsergebnis zuriickgegrif f en werden. 
Da das Sichenmgsverfahren im vorliegenden Atisfuhrungsbeispiel einf ach 
aus einer Multiplikation mit dem ersten Sicherimgswert sp bestand - siehe 

20 Schritt 26 in Fig. 1 gilt,dp/sp = d mod (p-1) und somit yl = (x mod p)^(d 
mod (p-1)). Dies ist das gewunschte Ergebnis des ersten CRT- 
Berechnungszweigs. 

Ein zweites Berechnimgsmodul 38 entspricht dem zweiten CRT-Berech- 
25 ■ nungszweig. Das Verf ahren ISuf t ebenso wie im ersten Berechnimgsmodul 
32 ab, wobei jedoch der zweite Primf aktor q, der zweite Sicherimgswert sq 
und der gesicherte zweite CRT-Exponent dq herangezogen werden. In 
Schritt 40 f olgt wiederxzm die Integritatsiiberpriifung hinsichtlich der 
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Schltisselparameter sq iind dq, iind in Schritt 42 wird der zweite Hilfswert 
y2 gemaJS der Formel y2 := (x mod q)^(dq/sq) berechnet. 

In dem das Verf ahren abschliefienden Berechnungsschritt 44 wird das Ge- 
5 samtergebnis y, also die entschltisselten Daten oder die berechnete Signatur, 
aiif an sich bekannte Weise durch Kombination der beiden CRT-Hilf swerte 
yl und y2 bestimmt. Die hier durchgeffihrte Berechnimg iSfit sich f ormel- 
mafiig als y (((y2 - yl) • pinv) mod q) • p + yl ausdrucken. Ftir did vom 
Prozessor des Datentragers vorgenommenen Berechnungsschritte konnen 

10 natiirlich unterschiedliche Auswertungsreihenf olgen gewahlt warden. 

Generell sind aus der Literatur unterschiedliche Varianten der RSA-CRT- 
Berechnungen der Schritte 36, 42 und 44 bekannt, die sich insbesondere 
dahingehend unterscheiden, auf welche Weise Zwischenergebnisse auf die 
jeweiligen Modulo-Bereiche reduziert werden. Die erfindungsgemafie Idee 

15 der Integritatsiiberpriifung und die im vorliegenden Ausfuhrungsbeispiel 
vorgeschlagene multiplikative Sicherung der CRT-Exponenten dp und dq 
konnen mit alien diesen Varianten kombiniert werden. 

Die Integritatspriiftmg gemafi der vorliegenden Erf indtmg richtet sich 
20 insbesondere gegen einen kryptographischen Angriff, der zeitlich vor den 
RSA-Berechnungen - spatestens wShrend der Parametertibergabe an die 
RS A-Routine - ausgefiihrt wird. Die Priifung bei der Parameteriibergabe 
kann in einfacher Weise auch erf olgen, indem neben den 
Ubergabeparametem auch noch damit verbtindene redundante Information, 
25 beispielsweise in Form von Priif summen abgespeichert ist, und nach der 
Parameterttbergabe eine abgespeicherte Priifsumme mit einer neu tiber die 
tibergebenen Parameter errechneten Priifsumme verglichen wird. Altemativ 
konnen zumindest v^chtige tJbergabeparameter mehrf ach iibergeben und 
nach der Ubergabe auf Identitat gepriift werden. 
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Es sind weitere Angriffsverf ahren bekannt, die auf eine Ausspahung der 
einzelnen Berechntmgsschritte abzielen, xxrri Ruckschlusse auf 
geheimziihaltende Schltisselparameter zu ermOglicheiu Insbesondere die 
5 Exponentenbildung in den Schritten 36 und 42 ist solchen Angriffen 
ausgesetzt, weil bei liblichen Implementierungen der Potenzie- 
rungsoperation die Prozessoraktivitat wahrend des Berechnungsablaufs 
erheblich von der Bitf olge des Exponenten abhangt. Diese Prozessofaktivitat 
kann durch Messung des Stromverbrauchs (SPA = simple power analysis 
10 Oder DP A = differential power analysis) oder anderer Signale wie z.B. 
elektrischer Feldstarken ausgespaht werden. 

Ztim Schutz gegen derartige Angriff e ist in der intemationalen Patentver- 
offentlichimg WO 01/48974 Al vorgeschlagen worden, den Exponenten mit 

15 Rest durch eine Zuf allszahl zu teilen und statt einer eirizigen Potenzierungs- 
operation drei getrennte Potenzierungen vorzunehmen, wobei als Exponen- 
ten der ganzzahlige Quotient, die Zuf allszahl sowie der bei der Teilung 
ermittelte Rest verwendet werden. Dieses Verf ahren ist im Detail in der 
genannten Patentveroff entiichung beschrieben, deren Inhalt hiermit voll- 

20 stSndig in das vorliegende Doktiment auf genommen wird. 

Es ist ein besonderer Vorteil des Sicherungsverfahrens gemafi der vorlie- 
genden Erfindung, dal3 sich dieses leicht mit dem auch als "exponent 
blinding" bezeichneten Verschleierungsverf ahren gemafi der 
25 WO 01 /48974 Al kombinieren lafit, wobei sich insbesondere die fiir das 
Verschleienmgsverf ahren sowieso benotigte Division auch fiir das 
Sicherungsverf ahren gemafi der vorliegenden Erfindung nutzen lafit. Das 
erfindungsgemMfie Verfahren kann dadurch mit sehr geringem 
Mehratifwand implementiert werden. 
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Fig. 3 zeigt die Verfahrensschritte eines Berechnungsmoduls 32', das gegen- 
liber dem Berechnungsmodul 32 von Fig. 2 so abgewandelt ist, dafi es zu- 
s^tzUch die aus der WO 01/48974 Al an sich bekannte Technik der Exponen- 
5 ten-Verschleierting anwendet. Hierzu wird zimachst in Schritt 46 eine Zu- 
f allszahl r mit einer Lange von beispielsweise 64 Bit (8 Byte) gewMhlt. In 
Schritt 48 wird eine Division mit Rest durchgefuhrt, um den gesicherten 
CRT-Exponenten dp in die Faktoren dpi tind r-sp sowie den Rest dp2 atifzu- 
teilen; es gilt dp = dpl-r-sp + dp2. Im Gegensatz zu dem aus 
10 WO 01 /48974 Al bekannten Verfahren vm-d in Schritt 48 also als Divisor 
nicht die Zxifallszahl r, sondern der Wert r-sp verwendet. 

In den Schritten 50 tmd 52 werden nun die ersten beiden Potenzierungs- 
operationen vorgenommen, indem der Basiswert x mod p zunSchst mit der 

15 Zufallszahl r und das so erhaltene Zwischenergebnis yll dann mit dem 

ganzzahligen Quotienten dpi potenziert werden. Fiir das Ergebnis yl2 gilt 
somit yl2 ((x mod p)^r)'^dpl = (x mod p)^(r dpl). Der Sicherungswert sp 
ist in die Schritte 50 tmd 52 nicht eingeflossen, da insoweit die zur Sicherung 
des CRT-Exponenten dp dienende Multiplikation bereits im Zttsammenhang 

20 mit der Division 48 riickgangig gemacht wurde. 

In Schritt 54 erf olgt mm - analog zu Schritt 34 in Fig. 2 - eine Teilbarkeits- 
prtifung, imi die Integritat der Schltisselparameter sp und dp sicherzustellen. 
Im Gegensatz zu Schritt 34 in Fig. 2 wird hierbei jedoch nicht der gesicherte 
25 CRT-Exponent dp, sondern der Divisionsrest dp2 durch sp geteilt. Da sich 
dp2 von dp nur durch ein Vielfaches von r-sp - und somit durch ein 
Vielf aches von sp - unterscheidet, sind die beiden tiberpriifungen gleich- 
wertig. Der durch die AusfCihnmg von Schritt 54 entstehende Berechnxmgs- 
aufwand ist jedoch wegen des erheblich kurzeren Dividenden dp2 erheblich 
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geringer als bei der Berechnxing von Schritt 34 in Fig. 2. tJberdies wird das 
ganzzahlige Divisionsergebnis dp2/sp im folgenden Schritt 56 benotigt. Die 
' Division und Teilbarkeitspriifung in Schritt 54 stellt im Vergleich zu dem 
bekannten Verfahren gemafi WO 01/48974 Al den einzigen zusatzlichen 
5 Rechenaufwand dar. 



Falls dp2 kein glattes Vielfaches von sp ist, wird das Verfahren in Schritt 54 
mit einem Fehleraussprxing abgebrochen. Andernf alls wird in Schritt 56 ein 
weiterer Zwischenwert yl3 gemafi yl3 := (x mod p)'^(dp2/sp) berechnet. Als 
10 Ergebnis yl des Berechnungsmoduls 32' wird in Schritt 58 das Produkt 

yl2-yl3 bestimmt Dieses Ergebnis ist identisch mit dem ersten Hilf swert yl 
gemafi Schritt 36 von Fig. 2, weil gilt 

yl - yl2.yl3 

15 = ((x mod p)^(r-dpl)) • ((x mod p)^(dp2/sp)) 

= (xmodp)^((r.dpl)+(dp2/sp)) 

= (x mod p)'^(dp/sp) 

Das gesamte RS A-CRT-Verf ahren in der hier beschriebenen, besonders 
20 * geschtitzten Ausfflhrungsvariante beginnt mit einer Integritatsiiberpriifung 
der Parameter p, q und pinv durch den in Fig. 2 gezeigten Schritt 30. Darauf 
folgen als erster CRT-Berechnxmgszweig die Schritte des Berechnxmgs- 
moduls 32' gemafi Fig. 3, um den ersten Hilf swert yl zu ermitteln. Zur 
Berechnung des zweiten Hilf swerts y2 wird ebenf alls das in Fig. 3 gezeigte 
25 Verfahren eingesetzt, wobei natiirlich die Schliisselparameter p, sp imd dp 
durch q, sq imd dq ersetzt werden. Die Zuf allszahl r kaim entweder aus dem 
ersten Ablatif des Berechnungsmoduls 32' iibernommen oder neu bestimmt 
werden. Das Endergebnis y wird schliefilich durch eine Kombination der 
beiden Hilf swerte yl und y2 wie in Schritt 44 von Fig. 2 berechnet. 
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Das in Fig. 4 gezeigte Verf ahren sieht einen zusatzlichen Uberpriifungs- 
schritt vor, in dem ein weiterer Verschleierungsparameter j herangezogen 
wird. Ein erster Berechnungsblock 60 entspricht ungefahr Schritt 30 in Fig. 2. 
5 In Schritt 62 wird der Verschleierungsparameter j als zuf Mllige Primzahl mit 
einer LSnge von beispielsweise 32 Bit (4 Byte) gewahlt. Die Primf aktoren p 
und q werden in den Schritten 64 und 66 mit dem Verschleienmgsparameter 
j multipliziert, um verschleierte Primfaktoren p* bzw. zu erhalten". In 
Schritt 68 erfolgt ein Test, um die Integritat der Schlusselparameter p, q imd 
10 pinv zu tiberpriifen. Falls p' pinv = j mod q' gilt, wird das Verfahren f ortge- 
setzt; andernfalls erfolgt ein Fehleraussprung. 



In einem zweiten Berechnungsblock 70 wird ein erster Hilfswert yl gemSfi 
der Formel yl := (x'^(dp/sp)) mod p* bestimmt. Der erste Hilfswert yl ent- 

15 spricht im wesentlichen dem ersten Hilfswert der Ausfiihrungsbeispiele von 
Fig. 2 und Fig. 3, wobei jedoch p' statt p fiir die Modulo-Berechnung 
herangezogen wird. Im Detail erfolgt die Berechntmg in unterschiedlichen 
Ausfiihrungsvarianten entweder wie im Berechnungsmodul 32 von Fig. 2 
. Oder wie im Berechnimgsmodul 32^ von Fig. 3. In beiden Fallen wird eine 

20 Teilbarkeitspriifung durchgefOhrt, tun die Integritat der Schlusselparameter 
sp imd dp sicherzusteUen. 

Ein dritter Berechnungsblock 72 entspricht dem zweiten Berechnungsblock 
70 mit dem Unterschied, daC statt dp, sp xmd p' die Werte dq, sq und q' 
25 herangezogen werden, um einen zweiten Hilfswert y2 zu berechnen. 
Wiederum kann der dritte Berechnungsblock 72 entweder wie das 
Berechntmgsmodtil 38 in Fig. 2 oder analog der Darstellung von Fig. 3 
ausgestaltet sein. Durch einen TeUbarkeitstest im dritten Berechnungsblock 
72 wird die Integritat der Schlusselparameter sq imd dq iiberpriift. 
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Schritt 74 betrifft die Berechnung eines Zwischenergebnisses vermoge der 
Formel y* := [((y2 - yl) - pinv) mod q'] • p + yl- Dies entspricht ungefahr 
Schritt 44 in Fig. 2. In Schritt 76 erf olgt ein weiterer Test, der die bisherigen 
5 Berechnungen miteinander in Beziehiing setzt tind gestorte 

BerechnxingsablSuf e erkennt. Es wird tiberpriift, ob die f olgende 
Gleichheitsbeziehung modulo j gilt: 

y' mod j = [ ((x^(dq/sq)) mod j - (x^(dp/sp)) mod j) • pinv • p 

10 + {^^{^P/^P)) niod j ] mod j 

Falls diese Gleichung nicht erfiillt ist, erf olgt ein Fehlerabbruch. Andemf alls 
wird das Verfahren in Schritt 78 mit der Berechnung des Endergebnisses y 
gemafi y := y' mod n abgeschlossen, wobei n der Modulus mit n = p q ist. 
15 Durch die weitere Uberpriifung des Berechnungsverlaufs in Schritt 76 wird 
bei dem Verfahren gemafi Fig, 4 ein nochmals verbesserter Schutz gegen 
kryptographische Angriffe erreicht. 



Patentansprtiche 

1. Verfahren ztim geschutzten Ausfiihren einer kryptographischen 
5 Berechnung, bei der ein Schliissel (12) mit mindestens zwei 

Schliisselparametern (p, q, pinv, sp, dp, sq, dq) herangezogen 
wird, dadurch gekennzeichnet, dafi eine Integiitatsflberprufung 
(30, 34, 40, 54) des Schliissels (12) dturchgefiihrt wird, tun einen 
kryptographischen Angriff zu verhindem, bei dem durch eine 
10 Verf alschung mindestens eines ersten Schliisselparameters (p, q, 

pinv, sp, dp, sq, dq) Rtickschltisse auf mindestens einen zweiten 
Schliisselparameter (p/ q, pinv, sp, dp, sq, dq) gezogen werden. 

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daS bei der 
15 Integritatsiiberpriifung (30, 34, 40, 54) ermittelt wird, ob sich der 

Wert mindestens eines Schlusselparameters (p, q, pinv, sp, dp, sq, 
dq) in einem mehrfach unterbrochenen Bereich zulSssiger Werte 
befindet. 

20 3. Verfahren nach Anspruch 1 oder Anspruch 2, dadurch gekenn- 

zeichnet, daB bei der IntegritStstiberprOfung (30, 34, 40, 54) ermit- 
telt wird; ob mindestens zwei Schliisselparameter (p, q, pinv, sp, 
dp, sq, dq) in einer vorbestimmten Beziehtmg zueinander stehen, 

25 4. Verfahren nach einem der Anspriiche 1 bis 3, dadurch gekenn- 

zeichnet, dafi die Integritatsiiberprufimg (30, 34, 40, 54) eine 
multiplikative Operation, insbesondere eine Teiibarkeitspriifung, 
beinhaltet*. 



30 



5. Verfahren nach einem der Anspriiche 1 bis 4, dadurch gekenn- 
zeichnet, dafi bei der Integritatspriifung (30, 34, 40, 54) gepriift 



wird, ob ein Schltisselparameter (p, q, pinv, sp, dp, sq, dq) oder 
ein Wert, der sich von dem Schlusselparameter (p, q, pinv, sp, dp, 
sq, dq) dtiTch ein Vielf aches eines Sicheningswertes (sp, sq) unter- 
scheidet, glatt durch den Sicheningswert (sp, sq) teilbar ist. 

Verf ahren nach einem der Anspriiche 1 bis 5, dadurch 
gekeimzeichnet, dafi bei der Integritatsprufung eine mit den 
Schltisselparametern (p, q, pinv, sp, dp, sq, dq) abgespeicherte 
Priifsumme mit einer nach der Ubergabe der Schliisselparameter 
(p, q, pinv, sp, dp, sq, dq) neu berechneten Priisumme verglichen 
wird. 

Verf ahren nach einem der Anspriiche 1 bis 6, dadurch 
gekennzeichnet, dafi zur Prtifung der IntegritSt wichtige 
Ubergabeparameter mehrf ach iibergeben imd nach der Ubergabe 
auf Identitat gepruf t werden. 

Verf ahren nach einem der Anspriiche 1 bis 7, dadurch gekenn- 
zeichnet, dafi die kryptographische Berechnung eine Entschlusse- 
lung Oder Signaturerzeugung bei einem RSA-Verf ahren, insbe- 
sondere einem RSA-CRT-Verf ahren, ist. 

Verfahren nach Anspruch 8, dadurch gekennzeichnet, dafi bei der 
kryptographischen Berechnimg mindestens eine Potenzierungs- 
operation durchgef iihrt wird, und dafi bei der Integritatspriifung 
(30, 34, 40, 54) geprtift wird, ob der bei der Potenzierungsopera- 
tion verwendete Exponent glatt durch einen Sicherungswert (sp, 
sq) teilbar ist 
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10. Verfahren nach Anspruch 9, dadurch gekeimzeichnet, dafi bei der 
kryptographischen Berechnung ein Exponenten-Verschleierungs- 
verfahren zxim Ausspahungsschutz angewendet wird. 

5 11. Verfahren nach einem der Ansprfiche 8 bis 10, dadurch gekeim- 

zeichnet, dafi die Primf aktoren (p, q) des RSA-Verf ahrens mit 
einem Verschleierungsparameter (j) mtdtipliziert werden, und 
dafi die Fehlerfreiheit des Berechnungsverlauf s dxirch eine Gleich- 
heitsiiberprufung modiilo des Verschleierungsparameters (j) 
10 iiberpriift wird. 

12. Verfahren zum Bestimmen eines Schltissels ffir eine kryptographi- 
sche Berechnung mit mindestens zwei Schlusselparametem (p, q, 
pinv, sp, dp, sq, dq), der zur Verwendung in einem Verfahren 

15 nach einem der Anspriiche 1 bis 9 vorgesehen ist. 

13. Verfahren nach Anspruch 12, dadurch gekennzeichnet, dafi 
mindestens ein Schltisselparameter (p, q, pinv, sp, dp, sq, dq) 
durch eine Multiplikation eines ftir die kryptographischen 

20 Berechnimg benOtigten Wertes mit einem Sicherungswert (sp, sq) 

erhalten wird. 

14. Computerprogrammprodukt, das Programmbefehle aufweist, um 
einen Prozessor zu veranlassen, ein Verfahren mit den Merkmalen 

25 eines der Anspriiche 1 bis 13 auszxifiihren. 



15. Tragbarer Datentrager, insbesondere Chipkarte oder Chipmodul, 
der zur Ausfiihrtmg eines Verf ahrens mit den Merkmalen eines 
der Anspruche 1 bis 13 eingerichtet ist. 




Z u s a m m e n f a s s u n g 

Bei einem Verf ahren zum geschiitzten Ausfuhren einer kryptographischen 
5 Berechnung, bei der ein Schliissel (12) ixiit mindestens zwei Schliisselpara- 
metem (p, q, pinv, sp, dp, sq, dq) herangezogen wird, wird eine Integritats- 
iiberprtifung (30, 34, 40, 54) des SchlUssels (12) durchgefahrt, um einen 
kryptographischen Angriff zu verhindem, bei dem durch eine Verf alschting 
mindestens eines ersten Schliisselparameters (p, q, pinv, sp, dp, sq, dq) 

10 Riickschlusse aiif mindestens einen zweiten Schliisselparameter (p/q, pinv, 
sp, dp, sq, dq) gezogen werden. Ein weiteres Verf ahren dient zxim 
Bestimmen eines Schliissels fOr eine kryptographische Berechnimg mit 
mindestens zwei Schliisselparametem (p, q, pinv, sp, dp, sq, dq), der ztir 
Verwendung in dem erstgenannten Verf ahren vorgesehen ist. Ein 

15 Computerprogrammprodukt und ein tragbarer DatentrSger weisen 

entsprechende Merkmale auf , Die Erfindimg ermoglicht einen besonders 
guten Schutz kryptographischer Berechnungen gegen Angrif fe. 
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( START ) 



WAHLE 
PRIMZAHLEN P.Q 



N := P Q 



PINV := 1/P MOD Q 



D:= 1/E MOD (P-1HQ-1) 



WAHLE : 
ZUFALLSZAHLEN SP, SQ 



DP := (D MOD (P-1)) • SP 



DO := (D MOD {Q-1))-SQ 
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E<N TEILERFREMD ZU [ 
(P-1)-(Q-1) 



MODULUS N 
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EXPONENT E 
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CRT-KOEFFIZIENT PINV 
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CRT-EXPONENT DP 
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Y := [ ((Y2 - Y1) • PINV) MOD Q ] • P + Y1 
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ZUFALLSZAHL R 



DIVIDIERE DP DURCH 
R SP MIT REST 
DP1 :=LDP/(R-SP)J 
DP2 : = DP MOD (R-SP) 



Y11 :=(XMODP)AR 



Y12:=Y11W1 
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Y13:=(XMODP)*(DP2/SP) 
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Y1 :=Y12Y13 
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BERECHNE 
Y1 :=(X'^(DP/SP))MODP' 
MIT TEILBARKEITSTEST 

BERECHNE 
Y2 := (X (DQ/SQ)) MOD Q' 
MIT TEILBARKEITSTEST 
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Y' := [ ((Y2 - Y1 ) • PINV) MOD Q' ] • P + Y1 -74 
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